Datu apstrādes līgums

1. Ievads

Šis Datu apstrādes līgums ("DPA") ir daļa no galvenā abonēšanas līguma starp Labb Holding Ltd, Kipras privātu sabiedrību ar ierobežotu atbildību, kuras juridiskā adrese ir Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Kipra, un kas reģistrēta ar numuru HE 424230 (tā nodrošina PersoHR platformu, "Apstrādātājs"), un klientu ("Pārzinis"). Tas reglamentē personas datu apstrādi, ko Apstrādātājs veic Pārziņa vārdā saistībā ar PersoHR platformu, un ir izstrādāts, lai atbilstu Regulai (ES) 2016/679 ("GDPR"). Ja kāds šā DPA noteikums ir pretrunā ar galveno līgumu, personas datu apstrādes jautājumos noteicošais ir šis DPA. Ar lielo sākumburtu rakstītajiem terminiem, kas šeit lietoti, bet nav definēti, ir galvenajā līgumā vai attiecīgā gadījumā GDPR tiem piešķirtā nozīme.

2. Priekšmets, ilgums, raksturs un nolūks

Apstrādātājs apstrādā personas datus vienīgi nolūkā sniegt PersoHR personāla vadības pakalpojumu. Apstrāde aptver darbinieku ierakstu, atvaļinājumu un prombūtnes pārvaldību, iekārtošanos darbā, darba attiecību izbeigšanas procesu, darba laika uzskaiti, algas aprēķina sagatavošanu, darba snieguma novērtēšanu, personāla atlasi, dokumentu glabāšanu, iekšējo saziņu un citas Pārziņa konfigurētas personāla vadības darbplūsmas. Apstrāde ietver vākšanu, reģistrēšanu, organizēšanu, glabāšanu, izgūšanu, izmantošanu, atļautu izpaušanu, eksportēšanu un dzēšanu šo pakalpojumu nodrošināšanai. Šis DPA turpina aizsargāt klienta personas datus, kamēr tie tiek glabāti, tostarp saskaņotas atdošanas vai dzēšanas procedūras laikā saskaņā ar 13. sadaļu. Apstrāde PersoHR pašas nolūkos, kā aprakstīts Privātuma politikā, ir nošķirta no šīs apstrādātāja saistības. Pārzinis atzīst, ka precīzs apstrādes tvērums un dziļums ir atkarīgs no moduļiem un konfigurācijas, ko Pārzinis izvēlas iespējot.

3. Personas datu kategorijas

Apstrādāto personas datu kategorijas ir atkarīgas no tā, kā Pārzinis konfigurē platformu, un var ietvert: personāla pamatdatus (vārds, uzvārds, kontaktinformācija, pasta adrese, dzimšanas datums, fotoattēls, kontaktpersonas ārkārtas gadījumiem dati); nodarbinātības pamatdatus (amats, nodaļa, nodarbinātības veids, sākuma un beigu datums, darba laiks, vadītājs, invaliditātes statuss); dokumentu saturu (darba līgumi, sertifikāti, personu apliecinoši dokumenti, citi Pārziņa augšupielādēti faili); darba snieguma un attīstības datus (mērķi, novērtējumi, atgriezeniskā saite, apmācību ieraksti); atvaļinājumu un prombūtnes datus (pieprasījumi, atlikumi, svētku dienas); darba laika uzskaites datus (darba sākuma un beigu atzīmes, darba laika uzskaites lapas, virsstundas); algas aprēķina sagatavošanas datus (algu ieraksti, IBAN, ja sniegts, nodokļu un sociālās apdrošināšanas identifikatori, ja sniegti, pilsonība, dzimums, ģimenes stāvoklis, bērnu skaits, dzimšanas vieta, veselības apdrošinātājs un apdrošināšanas veids, baznīcas nodokļa konfesija); personāla atlases datus (pieteikumi, CV, interviju piezīmes, rekomendācijas); saziņas un tērzēšanas datus; autentifikācijas un drošības datus (pieteikšanās laikspiedoli, IP adreses, pārlūkprogrammas/ierīces lietotāja aģenta informācija un ierīču sesiju ieraksti, divfaktoru autentifikācijas statuss); kā arī jebkurus citus personas datus, ko Pārzinis izvēlas augšupielādēt vai radīt platformā. Apstrāde var ietvert arī elektronisko parakstu saturu un parakstīšanas pierādījumus. Baznīcas nodokļa konfesija var atklāt reliģisko piederību. Invaliditātes statuss, prombūtne slimības dēļ un medicīnisko izziņu ieraksti var atklāt veselības datus pat tad, ja medicīniskie dokumenti nav augšupielādēti. Ja tiek apstrādāti īpašu kategoriju dati, Pārzinim ir jānosaka 6. pantā paredzētais pamats un piemērojams 9. panta nosacījums un jādod Apstrādātājam norādījumi par nepieciešamajiem aizsardzības pasākumiem. Uz datiem par sodāmību attiecas 10. panta nosacījumi, un tos nedrīkst sniegt bez saskaņotas, likumīgas un atbalstītas apstrādes kārtības. Apstrādātājs joprojām ir atbildīgs par saviem piemērojamajiem datu aizsardzības un drošības pienākumiem.

4. Datu subjektu kategorijas

Datu subjektu kategorijas attiecībā uz Pārzini un jebkurām saistītajām sabiedrībām, kuras Pārzinis izvēlas pārvaldīt, izmantojot platformu, parasti ietver: pašreizējos darbiniekus, uzņēmuma līguma izpildītājus, ārštata darbiniekus un citu personālu, tostarp darba ņēmējus, kas jaunāki par 18 gadiem, ja viņi nodarbināti likumīgi; bijušos darbiniekus, uzņēmuma līguma izpildītājus un personālu; pretendentus un kandidātus notiekošos vai iepriekšējos atlases procesos; kā arī apgādājamos vai kontaktpersonas ārkārtas gadījumiem, kuru datus izpaudis kāds no iepriekš minētajiem. Pārzinis ir atbildīgs par to, lai jebkura konkrēta datu subjekta iekļaušana apstrādes tvērumā būtu likumīga.

5. Norādījumi un tiesības atteikties

Apstrādātājs apstrādā personas datus tikai saskaņā ar Pārziņa dokumentētiem norādījumiem, tostarp attiecībā uz starptautisku datu nosūtīšanu, ja vien Savienības vai dalībvalsts tiesību akti neprasa rīkoties citādi (šādā gadījumā Apstrādātājs pirms apstrādes informē Pārzini, izņemot gadījumus, kad šie tiesību akti aizliedz šādu paziņošanu svarīgu sabiedrības interešu dēļ). Pārzinis norīko personas, kuras ir ekskluzīvi pilnvarotas dot apstrādes norādījumus, izmantojot platformu; ja šādas personas nav norīkotas, norādījumus var dot tikai fiziskās personas, kas ir pilnvarotas likumīgi pārstāvēt Pārzini. Ja Apstrādātājs pamatoti uzskata, ka norādījums pārkāpj GDPR vai citus piemērojamos datu aizsardzības tiesību aktus, tas nekavējoties informē Pārzini un var apturēt šā norādījuma izpildi, līdz puses šo jautājumu ir atrisinājušas.

6. Konfidencialitāte

Apstrādātājs nodrošina, ka jebkurai fiziskajai personai, kas ir pilnvarota tā vārdā apstrādāt personas datus, ir saistošs konfidencialitātes pienākums, kas izriet no līguma vai likumā noteikta pienākuma. Katra puse turklāt apņemas saglabāt konfidencialitāti attiecībā uz jebkuru nepublisku informāciju, ko tā saņem no otras puses saistībā ar šo DPA, tostarp revīziju saturu, drošības dokumentāciju un incidentu ziņojumus, un izmantot šo informāciju vienīgi pamatlīguma un šā DPA izpildei. Tas neattiecas uz informāciju, kas ir publiski zināma, kas izstrādāta neatkarīgi, neizmantojot izpaudējas puses konfidenciālo informāciju, kas likumīgi saņemta no trešās personas bez konfidencialitātes pienākuma vai kas jāizpauž saskaņā ar saistošu tiesisku procesu. Vispārīgie konfidencialitātes pienākumi paliek spēkā piecus gadus pēc līguma izbeigšanas. Pienākumi, kas aizsargā personas datus, paliek spēkā tik ilgi, kamēr šie dati tiek glabāti, tostarp gadījumos, kad piemērojams ilgāks likumā noteikts pienākums.

7. Apstrādes drošība (32. pants)

Apstrādātājs īsteno un uztur riskam atbilstošus tehniskos un organizatoriskos pasākumus, ņemot vērā GDPR 32. pantā minētos faktorus. Lietotnes aizsardzības pasākumi ietver uz lomām balstītu un nomnieka tvērumā ierobežotu piekļuves kontroli, laikā ierobežotus autentifikācijas marķierus, obligātu divfaktoru autentifikāciju Īpašnieka un HR administratora lomām, atsevišķu sensitīvu lauku šifrēšanu un audita ierakstus atbalstītām darbībām. Šie aizsardzības pasākumi ir aprakstīti drošības pielikumā /legal/security. Apstrādātāja pienākumi nodrošināt atbilstošu aizsardzību, pieejamību un atjaunošanu neaprobežojas ar šeit uzskaitītajām funkcijām. Pasākumu atjauninājumi nedrīkst būtiski samazināt kopējo drošības līmeni.

8. Apakšapstrādātāji

Pārzinis pilnvaro Apstrādātāju piesaistīt apakšapstrādātājus, kas uzskaitīti vietnē /legal/sub-processors. Apstrādātājs rakstiski (tostarp pa e-pastu) informē Pārzini vismaz 30 dienas pirms apakšapstrādātāja pievienošanas vai aizstāšanas. Pārzinis var iebilst pamatotu datu aizsardzības iemeslu dēļ 14 dienu laikā pēc šāda paziņojuma; ja iebildums netiek izteikts savlaicīgi, izmaiņas uzskata par apstiprinātām. Ja puses nevar atrisināt pamatotu iebildumu turpmāko 30 dienu laikā, jebkura puse var izbeigt galveno līgumu ar rakstisku paziņojumu bez turpmākas atbildības, un šādā gadījumā Pārzinim ir tiesības saņemt proporcionālu atmaksu par jebkurām iepriekš samaksātajām maksām, kas attiecas uz abonēšanas termiņa neizmantoto atlikumu. Apstrādātājs ar katru apakšapstrādātāju noslēdz rakstisku līgumu, kas uzliek datu aizsardzības pienākumus, kuri ir līdzvērtīgi šajā DPA noteiktajiem, un joprojām ir atbildīgs par savu apakšapstrādātāju darbībām un bezdarbību.

9. Palīdzība saistībā ar datu subjektu tiesībām

Apstrādātājs, ņemot vērā apstrādes raksturu un ciktāl tas iespējams, palīdz Pārzinim izpildīt pieprasījumus saskaņā ar GDPR III nodaļu. Lietotne nodrošina datu eksporta, labošanas un dzēšanas rīkus ar lomu un tvēruma ierobežojumiem. Šie rīki palīdz Pārzinim, taču nenosaka, vai konkrētas personas pieprasījums ir jāapmierina. Datu pārnesamība saskaņā ar 20. pantu attiecas tikai uz datiem, ko sniegusi pati persona un kas tiek apstrādāti automatizēti, pamatojoties uz piekrišanu vai līgumu; uz citiem ierakstiem var attiekties piekļuves tiesības saskaņā ar 15. pantu. Ja rīki nav pietiekami, Apstrādātājs sniedz saprātīgu papildu palīdzību. Pieprasījumus par Pārziņa veikto personāla datu apstrādi, kas saņemti tieši no personas, bez nepamatotas kavēšanās pārsūta Pārzinim.

Ja persona lūdz Apstrādātāju dzēst tās personīgo PersoHR kontu, Apstrādātājs nekavējoties slēdz kontu. Tas izbeidz personas piekļuvi, dzēš konta datus, ko tas glabā kā pārzinis (pieteikšanās dati, divfaktoru autentifikācijas iestatījumi, sesijas, konta preferences un atbalsta pieprasījumi, ko persona iesniegusi lietotnē, kopā ar to ekrānuzņēmumiem), un dzēš personas sarunas ar AI asistentu, ko lietotne nerāda nevienam citam. Šo atbalsta pieprasījumu kopijas, kas piegādātas uz Apstrādātāja atbalsta pastkasti, un cita sarakste ar Apstrādātāju tiek glabātas, kā aprakstīts Privātuma politikā. Tas nedzēš un nemaina nevienu citu ierakstu, ko Pārzinis glabā par personu. Tas reģistrē pieprasījumu pie personas dalības katrā Pārziņa darba telpā un bez nepamatotas kavēšanās paziņo par to Pārziņa īpašniekiem un personāla administratoriem lietotnē un pa e-pastu. Pārzinis izlemj, vai ierakstus dzēst, izmantojot lietotnes dzēšanas rīku, vai tos paturēt, un atbild personai. Apstrādātājs apstiprina pieprasījumu personai pa e-pastu un paziņo tai pa e-pastu, kad Pārzinis ir reģistrējis savu lēmumu lietotnē vai kad ieraksti ir dzēsti tāpēc, ka darba telpa tiek dzēsta.

Personas konta identitātes dati, ko izmanto Pārziņa ieraksti (vārds, e-pasta adrese, dzimšanas datums un tālruņa numurs), tiek glabāti Pārziņa un jebkura cita klienta vārdā, kura ieraksti tos izmanto, līdz katra personas dalība darba telpā ir dzēsta vai tās darba telpa ir dzēsta, un pēc tam tiek anonimizēti. Dzēsta dalība var atstāt ierakstus, kas Pārzinim jāglabā saskaņā ar likumu, piemēram, uz personas vārda kārtotu darba laika uzskaiti, kuriem ir savs glabāšanas termiņš. Identitātes dati tiek mainīti tikai pēc Pārziņa norādījuma: Pārzinis var lietotnē pievienot trūkstošu dzimšanas datumu, un jebkuru citu labojumu veic Apstrādātāja atbalsta dienests. Apstrādātājs tos izmanto, lai rakstītu personai, tikai iepriekš aprakstītajam apstiprinājumam un paziņojumam par lēmumu, paziņojumiem, kas Pārzinim jāsniedz saskaņā ar likumu, un turpmāk aprakstītajam galīgajam arhīvam. Slēgtu kontu nevar atkārtoti atvērt, un tā e-pasta adresi nevar izmantot jaunam kontam vai uzaicināt uz darba telpu, līdz katra personas dalība darba telpā ir dzēsta vai tās darba telpa ir dzēsta.

Ja Pārzinis ir lūdzis dzēst savu darba telpu, pieprasījums, kas ir atvērts brīdī, kad sākas darba telpas slēgšana, vai kas tiek saņemts slēgšanas laikā, tiek izpildīts, kad darba telpas galīgais arhīvs ir pabeigts (nakts izpildē, kas seko pabeigšanai, vai, ja arhīvs jau bija pabeigts, nakts izpildē, kas seko pieprasījumam), vai darba telpas dzēšanas brīdī, ja tas notiek agrāk, tāpēc personas ieraksti ir iekļauti jebkurā galīgajā arhīvā, ko saņem Pārzinis. Apstrādātāja galīgā arhīva kopija tiek dzēsta kopā ar darba telpu. Ja persona ir kontaktpersona, ko Pārzinis norādīja šim arhīvam, arhīvs tiek nosūtīts citam darba telpas īpašniekam, kurš joprojām var pieteikties, un uz personas adresi tikai tad, ja tāda īpašnieka nav. Ja persona ir vienīgais īpašnieks darba telpai, kuras dzēšana nenotiek, pieprasījumu nevar pabeigt, kamēr darba telpai nav cita aktīva īpašnieka vai aktīva personāla administratora vai kamēr netiek dzēsta darba telpa; ja ir aktīvs personāla administrators, Apstrādātājs padara par īpašnieku ilgāk strādājušo no tiem, lai Pārzinim saglabātos īpašnieks.

10. Paziņošana par personas datu aizsardzības pārkāpumu

Apstrādātājs paziņo Pārzinim bez nepamatotas kavēšanās un jebkurā gadījumā 72 stundu laikā pēc tam, kad tam kļuvis zināms par personas datu aizsardzības pārkāpumu, kas skar Pārziņa datus, saskaņā ar GDPR 33. panta 2. punktu. Pieejamā informācija ietver pārkāpuma raksturu, skartās kategorijas un aptuveno skarto personu un ierakstu skaitu, iespējamās sekas, kontaktinformāciju un veiktos vai ierosinātos pasākumus. Informāciju var sniegt pa posmiem bez turpmākas nepamatotas kavēšanās. Apstrādātājs palīdz Pārzinim izpildīt tā novērtēšanas un paziņošanas pienākumus saskaņā ar 33. un 34. pantu. Pārziņa 72 stundu termiņš paziņošanai uzraudzības iestādei, uz kuru attiecas likumā paredzētās atrunas, nav gaidīšanas periods Apstrādātājam.

11. Novērtējums par ietekmi uz datu aizsardzību un iepriekšēja apspriešanās

Apstrādātājs pēc pamatota pieprasījuma palīdz Pārzinim veikt novērtējumus par ietekmi uz datu aizsardzību saskaņā ar 35. pantu un iepriekšēju apspriešanos ar uzraudzības iestādēm saskaņā ar 36. pantu, ņemot vērā apstrādes raksturu un Apstrādātājam pieejamo informāciju.

12. Revīzijas un pārbaudes

Apstrādātājs dara pieejamu visu informāciju, kas nepieciešama, lai pierādītu GDPR 28. panta prasību izpildi, un ļauj veikt revīzijas, tostarp pārbaudes, ko veic Pārzinis vai tā pilnvarots revidents, un palīdz tās veikt. Puses vienojas par saprātīgu kārtību attiecībā uz paziņošanu, laiku, konfidencialitāti un citu klientu informācijas aizsardzību. Neatkarīgi ziņojumi un drošības dokumentācija var palīdzēt pierādīt prasību izpildi, taču neaizstāj Pārziņa likumā noteiktās revīzijas tiesības. Plānošanas, biežuma un revidenta prasības nedrīkst liegt veikt revīziju, ko pieprasa tiesību akti, uzraudzības iestāde, personas datu aizsardzības pārkāpums vai pamatotas aizdomas par prasību neievērošanu. Katra puse parasti sedz savas izmaksas, ja vien nav panākta cita vienošanās vai tiesību akti neparedz citādi.

13. Personas datu atdošana vai dzēšana

Pēc apstrādes pakalpojumu beigām Apstrādātājs pēc Pārziņa izvēles atdod vai dzēš personas datus un dzēš esošās kopijas, ja vien Savienības vai dalībvalsts tiesību akti neprasa tos glabāt, saskaņā ar GDPR 28. panta 3. punkta g) apakšpunktu. Pārzinim vajadzētu lejupielādēt nepieciešamos eksportus pirms apmaksātās piekļuves beigām un sazināties ar atbalsta dienestu, lai vienotos par jebkādu turpmāku atdošanu vai dzēšanu. Abonementa atjaunošanas pārtraukšana pati par sevi nav konta dzēšanas pieprasījuma iesniegšana. Lietotnes konta dzēšanas procedūra ieplāno dzēšanu pēc 30 dienu atcelšanas perioda; agrāks vai citāds tiesību aktos noteikts pieprasījums jāadresē tieši Apstrādātājam. Pusēm ir jāvienojas par atdošanas vai dzēšanas procedūru un jāveic tā, neglabājot datus ilgāk, nekā nepieciešams. Rezerves kopijas paliek šā DPA aizsardzībā, līdz tās tiek noņemtas saskaņā ar piemērojamo rezerves kopēšanas grafiku; jebkurā atjaunošanā ir jāievēro iepriekšējie dzēšanas norādījumi. Norēķinu ieraksti, kas tiek apstrādāti Apstrādātāja pašas juridisko pienākumu izpildei, tiek apstrādāti atsevišķi saskaņā ar Privātuma politiku.

14. Starptautiska datu nosūtīšana

Apstrādātājs personas datus galvenokārt apstrādā Eiropas Savienībā. Ja Apstrādātājam vai kādam apakšapstrādātājam ir nepieciešams nosūtīt personas datus uz valsti ārpus Eiropas Ekonomikas zonas, nosūtīšanu veic tikai, pamatojoties uz lēmumu par aizsardzības līmeņa pietiekamību saskaņā ar GDPR 45. pantu vai atbilstošām garantijām saskaņā ar GDPR 46. pantu. Parasti tās ir Eiropas Komisijas standarta līguma klauzulas (Lēmums 2021/914/ES), kuras vajadzības gadījumā papildina ar papildu tehniskiem un organizatoriskiem pasākumiem. Pašreizējais saņēmēju saraksts un piemērojamie nosūtīšanas mehānismi ir publicēti vietnē /legal/sub-processors.

15. Maksātnespēja, arests un trešo personu darbības

Ja Pārziņa personas dati ir apdraudēti aresta, konfiskācijas, maksātnespējas vai izlīguma procesa vai jebkuras citas trešās personas darbības dēļ, kas varētu ietekmēt Apstrādātāja spēju izpildīt šo DPA, Apstrādātājs bez nepamatotas kavēšanās informē Pārzini un rakstiski informē trešo personu, ka par datiem ir atbildīgs Pārzinis kā datu pārzinis GDPR nozīmē. Kamēr trešās personas darbība nav atrisināta, Apstrādātājs veic saprātīgus pasākumus, lai aizsargātu Pārziņa datu integritāti un pieejamību.

16. Atbildība

Katra puse ir atbildīga par kaitējumu, kas radīts ar tās izdarītu šā DPA pārkāpumu, saskaņā ar GDPR 82. pantu un piemērojamajiem tiesību aktiem. Nekas šajā DPA neizslēdz un neierobežo atbildību, kuru saskaņā ar tiesību aktiem nevar izslēgt vai ierobežot, tostarp par nāvi vai miesas bojājumiem, krāpšanu, krāpniecisku maldināšanu vai tīšu pārkāpumu. Nekas šajā DPA neierobežo datu subjektu vai uzraudzības iestāžu tiesības. Visos pārējos aspektos pamatlīgumā noteiktie atbildības ierobežojumi un izņēmumi tādā pašā mērā attiecas arī uz šo DPA.

17. Noteikumu atdalāmība un nobeiguma noteikumi

Šā DPA grozījumi un papildinājumi ir jānoformē rakstiski, tostarp elektroniski, un tajos skaidri jānorāda grozāmie noteikumi. GDPR 28. panta 9. punkts pieļauj, ka līgums ir elektroniskā formā; tas pats par sevi nepierāda grozījuma pieņemšanu. Ja kāds šā DPA noteikums ir vai kļūst spēkā neesošs, prettiesisks vai neizpildāms, tas neietekmē pārējo noteikumu spēkā esamību; puses aizstās spēkā neesošo noteikumu ar spēkā esošu noteikumu, kura ekonomiskās sekas ir pēc iespējas tuvākas spēkā neesošā noteikuma ekonomiskajām sekām. Šo DPA var noslēgt un atjaunināt elektroniski, un tas aizstāj visas iepriekšējās vienošanās par datu apstrādi starp pusēm attiecībā uz to pašu priekšmetu.

18. Piemērojamie tiesību akti un jurisdikcija

Šo DPA reglamentē Kipras Republikas tiesību akti, izņemot tās kolīziju normas un Apvienoto Nāciju Organizācijas Konvenciju par starptautiskajiem preču pirkuma-pārdevuma līgumiem. Pafosas (Kipra) tiesām ir ekskluzīva jurisdikcija attiecībā uz jebkuru strīdu, kas izriet no šā DPA vai ir saistīts ar to, neskarot obligātās patērētāju aizsardzības normas vai datu subjektu tiesības attiecībā uz tiesu piekritību saskaņā ar GDPR.

19. Kontaktinformācija

Jautājumos, kas saistīti ar šo DPA, sazinieties ar Labb Holding Ltd, rakstot uz privacy@persohr.eu, vai sūtiet vēstuli uz adresi Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. Pārziņa kontaktpunkts datu aizsardzības jautājumos ir lietotāja konts, kam PersoHR platformā piešķirta OWNER loma.